Aktywnie wykorzystywana w atakach

Hitachi Vantara Pentaho BA Server Special Element Injection Vulnerability

Hitachi Vantara - Pentaho Business Analytics (BA) Server · Figuruje w katalogu CISA KEV od 2025-03-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2022-43769

WysokieCVSS 8.8KEV

Opublikowano: 03/04/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Hitachi Vantara Pentaho Business Analytics Server w wersjach przed 9.4.0.1 i 9.3.0.2, w tym 8.3.x, pozwala niektórym usługom internetowym na ustawianie wartości właściwości zawierających szablony Spring, które są interpretowane w dalszym przetwarzaniu. Może to prowadzić do wstrzyknięcia szablonów po stronie serwera.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu lub uzyskania nieautoryzowanego dostępu poprzez wstrzyknięcie złośliwych szablonów Spring.

Rekomendacja

Należy zaktualizować Hitachi Vantara Pentaho Business Analytics Server do wersji 9.4.0.1 lub 9.3.0.2 (lub nowszej).

Inne podatności w Hitachi Vantara Pentaho Business Analytics Server

CVE-2022-43939WysokieAktywnie exploitowane
Hitachi Vantara Pentaho Business Analytics Server w wersjach przed 9.4.0.1 i 9.3.0.2, w tym 8.3.x, zawiera ograniczenia bezpieczeństwa wykorzystujące niekanoniczne adresy URL, które mogą zostać obejści. Błąd pozwala na ominięcie tych ograniczeń.

Oryginalny opis (angielski, źródło NVD)

Hitachi Vantara Pentaho Business Analytics Server prior to versions 9.4.0.1 and 9.3.0.2, including 8.3.x allow certain web services to set property values which contain Spring templates that are interpreted downstream.